10 частых ошибок бизнеса по 152-ФЗ

Коротко: Десять частых ошибок по 152-ФЗ: формальные согласия, отсутствие отдельного согласия на распространение, cookie без описания и согласия, ошибки с данными несовершеннолетних, нарушение сроков уничтожения, отсутствие уведомления РКН, передача данных за границу, ошибки с биометрией, иностранная авторизация и пренебрежение уровнями защищённости. Часть из них видна на сайте и её находит сканер, часть нужно проверить внутри компании.

Кажется, что 152-ФЗ «О персональных данных» – это что-то сложное и далёкое от реального бизнеса. Но на практике именно частые ошибки бизнеса по 152-ФЗ приводят к штрафам и блокировкам сайтов. Мы собрали 10 частых нарушений: часть из них видна на сайте и её находит сканер, часть нужно проверить внутри компании (уровни защищённости, сроки уничтожения, работа с биометрией и данными несовершеннолетних). Проверьте, нет ли их у вас.

1. Согласие на обработку данных оформлено «для галочки»

Самая распространённая ошибка – формальный подход к согласию. Многие компании просто добавляют на сайт галочку «Я согласен на обработку персональных данных» и считают, что этого достаточно.

Что именно не так?

Согласно статье 9 152-ФЗ, согласие должно быть конкретным, предметным, информированным, сознательным и однозначным. Это означает, что пользователь должен чётко понимать:

• какие именно данные собираются;
• для каких целей они нужны;
• кому и при каких условиях они могут быть переданы.

Простая галочка без пояснений – это нарушение. Особенно если она уже стоит по умолчанию, и пользователю нужно её снять (opt-out), а не поставить (opt-in).

Как исправить?

Сделайте форму согласия максимально прозрачной. Рядом с галочкой укажите краткую цель обработки (например, «для отправки новостной рассылки»). Если данных несколько – лучше сделать отдельные согласия для каждой цели.

2. Отсутствие отдельного согласия на распространение данных

Многие компании путают согласие на обработку и согласие на распространение. Это разные вещи, и за их смешение можно получить штраф.

В чём разница?

Согласие на обработку (ст. 9 152-ФЗ) – это разрешение собирать, хранить и использовать данные внутри компании. Согласие на распространение (ст. 10.1 152-ФЗ, действует с 1 марта 2021 года) – это разрешение делать данные доступными неопределённому кругу лиц: публиковать на сайте, размещать в открытых источниках. Передача данных конкретному подрядчику или партнёру (курьеру, CRM, бухгалтеру) – это предоставление (п. 5, 6 ст. 3), а не распространение: для неё нужно другое основание (договор, поручение, обычное согласие).

Если вы публикуете на сайте отзывы клиентов с их именами или размещаете фотографии сотрудников в соцсетях – вам нужно именно согласие на распространение, а не просто на обработку.

Как оформить правильно?

Согласие на распространение должно быть отдельным документом. В нём человек может указать, какие именно данные разрешает публиковать, на какой срок и на каких условиях. Он также может установить запреты на передачу определённых категорий данных.

3. Cookie без описания и согласия

Долгое время считалось, что cookie – это не персональные данные. Но cookie и идентификаторы могут быть персональными данными, если их можно связать с человеком (ст. 3 152-ФЗ).

Что изменилось?

За обработку данных без законного основания, в том числе за сбор cookie, организации грозит штраф 150–300 тысяч рублей, ИП – 50–100 тысяч (ч. 1 ст. 13.11 КоАП), за повторное нарушение организации – до 500 тысяч. При этом единой нормы про формат cookie-баннера в 152-ФЗ нет.

Что делать сейчас?

Опишите cookie и счётчики в политике. Счётчики и рекламные пиксели (Яндекс Метрика, Яндекс Директ, VK Реклама) запускайте только после активного согласия (галочка или кнопка «Принять»), а не молчаливого (продолжение использования сайта). Прямой нормы, запрещающей счётчики до согласия, нет, но такова позиция Роскомнадзора (ч. 1 ст. 6 и ст. 9 152-ФЗ); подтверждение согласия сохраняйте – доказывать его должен оператор (ч. 3 ст. 9). Зарубежные сервисы, например Google Analytics, записывают данные в зарубежную базу уже при сборе, а это запрещено (ч. 5 ст. 18), и уведомление РКН о трансграничной передаче (ст. 12) этого не исправляет.

4. Неправильная работа с данными несовершеннолетних

Если ваш сайт или сервис ориентирован на детей или подростков, или если вы собираете данные о детях сотрудников (например, для оформления льгот), нужно соблюдать особые правила.

Какой возраст считается «детским»?

152-ФЗ прямо не фиксирует порог, но по общим нормам (ст. 26 и 28 ГК РФ):

• до 14 лет – согласие даёт родитель или опекун;
• с 14 до 18 лет – практика различается, надёжнее брать согласие и подростка, и родителя.

Что важно помнить?

Согласие законного представителя (ст. 9 152-ФЗ) должно содержать: ФИО представителя, его адрес, номер документа, удостоверяющего личность, сведения о дате выдачи и выдавшем органе, а также реквизиты доверенности или иного документа, подтверждающего полномочия.

5. Нарушение сроков уничтожения данных после отзыва согласия

Клиент или сотрудник отозвал согласие на обработку данных. Что дальше? Многие компании просто перестают использовать данные, но продолжают их хранить. Это нарушение.

Какие сроки?

Статья 21 152-ФЗ устанавливает: после отзыва согласия оператор обязан уничтожить данные в течение 30 дней. Если уничтожить данные в этот срок невозможно, их блокируют и уничтожают не позднее чем через 6 месяцев (ч. 6 ст. 21 152-ФЗ).

Как не пропустить срок?

Автоматизируйте процесс. Настройте систему так, чтобы при получении отзыва согласия запускался таймер на удаление данных. Храните подтверждение уничтожения (акт, лог системы) – это понадобится при проверке Роскомнадзора.

6. Отсутствие уведомления РКН о начале обработки данных

Многие предприниматели не знают, что перед началом сбора персональных данных нужно уведомить Роскомнадзор. Это не просто формальность – за отсутствие уведомления предусмотрена ответственность.

Кого это касается?

Практически всех, кто собирает данные: интернет-магазины, сервисы доставки, онлайн-школы, CRM-системы, сайты с формами обратной связи.

Из обязанности уведомлять Роскомнадзор о начале обработки персональных данных есть только три исключения:

• обработка без использования средств автоматизации;
• обработка в государственных информационных системах – для защиты безопасности государства и общественного порядка;
• обработка в целях транспортной безопасности.

Данные сотрудников в рамках кадрового учёта и любая другая обработка «для внутренних нужд» в этот перечень не входят – уведомление подавать нужно.

Как подать уведомление?

Уведомление подаётся через pd.rkn.gov.ru или Госуслуги. Форма утверждена приказом РКН от 28.10.2022 № 180. В течение 30 дней сведения появятся в реестре операторов на pd.rkn.gov.ru – проверьте запись по ИНН.

7. Передача данных в страны без «адекватной защиты»

Если вы используете зарубежные сервисы (Google Analytics, американские облака, европейские CRM), вы фактически передаёте данные за границу. И здесь есть важные ограничения.

Какие страны считаются «безопасными»?

Перечень стран с «адекватной защитой» персональных данных утверждён приказом РКН от 16.09.2026 № 253 (действует с 30.10.2026). В него входят, например, Беларусь, Казахстан, Киргизия, Китай, Индия, Австралия, Канада, Южная Корея, страны Евросоюза. США в этом перечне нет. Проверьте по приказу страну вашего сервиса.

Что это значит на практике?

Передача данных в Google, американские или европейские облака – это трансграничная передача. Она не разрешена автоматически: перед началом передачи в любую страну нужно уведомить Роскомнадзор, причём отдельно от уведомления об обработке персональных данных. Согласие пользователя для трансграничной передачи законом не предусмотрено – слова «согласие» в ст. 12 152-ФЗ нет.

Если страна входит в перечень стран с адекватной защитой, передавать данные можно после направления уведомления (ч. 10 ст. 12). Если не входит (например, США), придётся подождать 10 рабочих дней: за это время Роскомнадзор может запретить передачу (ч. 9, 11 ст. 12). Отдельно помните о ч. 5 ст. 18: при сборе запись и хранение данных граждан РФ в зарубежных базах не допускаются.

Если вы используете зарубежные сервисы – проверьте, как оформлена трансграничная передача.

8. Нарушение правил работы с биометрическими данными

Биометрия – отдельная, особо защищённая категория персональных данных (ст. 11): сведения о физиологических и биологических особенностях человека (отпечатки пальцев, лицо, голос), по которым устанавливают личность, если оператор использует их для этого. Ошибки в работе с ней стоят дорого: утечка биометрии штрафуется по ч. 17 ст. 13.11 КоАП (15–20 млн ₽ для организации).

Что говорит закон?

Статья 11 152-ФЗ устанавливает: биометрические данные обрабатываются только с письменного согласия субъекта. Исключений мало: реадмиссия по межгосударственным договорам, отправление правосудия, обязательная государственная дактилоскопическая/биометрическая регистрация.

Важный нюанс

Оператор не вправе отказать в услуге при отказе субъекта дать биометрию или согласие на её обработку, если по закону это согласие не обязательно. То есть вы не можете сделать биометрию обязательным условием для получения услуги.

9. Использование иностранных сервисов для авторизации

С 1 декабря 2023 года российские сайты обязаны авторизовать пользователей только российскими способами; с 7 июля 2026 года за нарушение штрафуют по статье 13.55 КоАП. Это касается кнопок «Войти через Google», «Войти через Apple», «Войти через Facebook» и аналогичных.

Что именно запрещено?

Запрещено делегирование авторизации иностранному сервису (OAuth). Закон перечисляет допустимые способы входа (ч. 10 ст. 8 149-ФЗ); вход только по e-mail и паролю в этом перечне прямо не назван, поэтому надёжнее предлагать вход по номеру мобильного телефона или через Госуслуги.

Какие способы входа разрешены?

Только российские: номер телефона, ЕСИА (Госуслуги), Единая биометрическая система, иная российская информационная система.

Ответственность

Нарушение влечёт ответственность по статье 13.55 КоАП РФ:

• для физического лица – до 20 000 ₽;
• для должностного лица – до 50 000 ₽;
• для организации – до 700 000 ₽.

10. Пренебрежение уровнями защищённости персональных данных

Многие компании считают, что если у них маленький бизнес, то защита данных – это не про них. Но закон требует обеспечивать безопасность пропорционально объёму и типу данных.

Что такое уровни защищённости?

Постановление Правительства РФ № 1119 устанавливает четыре уровня защищённости (УЗ):

• УЗ-4 (базовый) – при угрозах 3-го типа: обычные (иные) данные сотрудников или клиентов менее 100 000 человек, а также общедоступные данные (п. 12 ПП № 1119);
• УЗ-3 и УЗ-2 – промежуточные уровни: какой из них нужен, зависит от категории данных (иные, общедоступные, специальные, биометрические), от того, чьи это данные (сотрудников или клиентов), от их количества (меньше или больше 100 000 человек) и от типа актуальных угроз;
• УЗ-1 (максимальный) – при угрозах 1-го типа (для специальных, биометрических и иных данных при любом числе субъектов; для общедоступных – УЗ-2) или при специальных категориях более 100 000 субъектов и угрозах 2-го типа (пп. 9, 10 ПП № 1119).

Что нужно сделать?

Определите свой уровень защищённости по ПП № 1119 и внедрите соответствующие меры (состав мер для каждого уровня задаёт приказ ФСТЭК № 21): от простого пароля на базу данных до сертифицированных средств криптографической защиты информации.

Уровни защищённости различаются по категории данных, количеству субъектов и типу угроз.

Что делать, если вы нашли у себя эти ошибки?

Первое – не паниковать. Большинство нарушений можно исправить, и часто это не требует больших затрат. Второе – провести аудит. Именно для этого существуют специализированные сервисы, которые автоматически проверяют сайт на соответствие 152-ФЗ.

Эти ошибки – не приговор. Это повод пересмотреть свои процессы и сделать их правильными. Начните с малого: проверьте форму согласия на сайте, настройте cookie-баннер, подайте уведомление в Роскомнадзор. Эти простые шаги закрывают самые частые нарушения.

Помните: закон не требует идеальной защиты «как в Пентагоне». Он требует разумных мер, соответствующих вашим реальным рискам. И эти меры вполне по силам любому бизнесу.

Частые вопросы

На что опираемся

• 152-ФЗ «О персональных данных» – ст. 9 (согласие на обработку)
• 152-ФЗ «О персональных данных» – ст. 10.1 (согласие на распространение)
• 152-ФЗ «О персональных данных» – ст. 11 (биометрические данные)
• 152-ФЗ «О персональных данных» – ст. 21 (уничтожение данных)
• Приказ РКН от 16.09.2026 № 253 (перечень стран с адекватной защитой)
• 152-ФЗ «О персональных данных» – ст. 3 (понятия), ст. 12, ч. 5 ст. 18, ч. 4 ст. 22
• КоАП РФ – ч. 1 ст. 13.11 (штрафы за обработку без законного основания)
• КоАП РФ – ст. 13.55 (ответственность за нарушение авторизации)

Что сделать дальше

1. Проверьте свой сайт бесплатно – найдём нарушения 152-ФЗ и покажем, какие штрафы за них грозят.
   Проверить бесплатно
2. Соберите документы под свою компанию – политика, отдельное согласие по 156-ФЗ и cookie-политика, реквизиты по ИНН. Политика – бесплатно. Перейти к генератору →
3. Пришло требование Роскомнадзора или случай сложный? Опишите задачу – посмотрим и скажем, чем можем помочь.